Docker Container Security Hardening Guide: Panduan Lengkap 2026

6. Capability Dropping dan Pengelolaan Privilege

Linux kernel capabilities adalah sekumpulan hak akses yang dapat digunakan oleh proses privileged. Secara default container berjalan dengan subset capabilities. Anda dapat mengubahnya dengan men-drop capabilities yang tidak diperlukan menggunakan --cap-drop dan menambahkan yang dibutuhkan menggunakan --cap-add.

Paling aman adalah men-drop semua capabilities terlebih dahulu, lalu menambahkan hanya yang benar-benar diperlukan. Selain itu, gunakan flag --security-opt=no-new-privileges untuk mencegah privilege escalation via setuid/setgid binaries. Jangan pernah menjalankan container dengan flag --privileged karena flag ini menambahkan SEMUA Linux kernel capabilities ke container, memberikan hak akses yang sama dengan host system.

# Men-drop semua capabilities, menambahkan hanya yang dibutuhkan
docker run --cap-drop ALL --cap-add CHOWN --cap-add SETGID --cap-add SETUID myapp:latest

# Contoh di docker-compose.yml
services:
  webapp:
    image: myapp:latest
    cap_drop:
      - ALL
    cap_add:
      - NET_BIND_SERVICE
      - CHOWN
    security_opt:
      - no-new-privileges:true

7. Seccomp Profiles dan Mandatory Access Control

Seccomp (Secure Computing Mode) adalah fitur Linux yang membatasi system calls yang dapat diakses oleh proses. Platform ini menggunakan default seccomp profile yang memblokir sekitar 44 dari lebih 300 available syscalls. Anda dapat membuat custom seccomp profile untuk membatasi syscall lebih ketat sesuai kebutuhan aplikasi. Gunakan tools seperti strace atau sysdig saat development untuk mengetahui syscall apa saja yang digunakan, lalu buat profile yang memperbolehkan hanya syscall yang benar-benar dibutuhkan.

AppArmor dan SELinux adalah Mandatory Access Control systems yang memberikan lapisan keamanan tambahan di atas discretionary access controls. AppArmor menggunakan path-based profiles untuk membatasi kemampuan program, cocok untuk distribusi Ubuntu dan Debian. SELinux menggunakan label-based policy yang lebih fleksibel namun kompleks, umum digunakan di RHEL, CentOS, dan Fedora.

# Contoh custom seccomp profile (seccomp.json)
{
  "defaultAction": "SCMP_ACT_ERRNO",
  "architectures": ["SCMP_ARCH_X86_64"],
  "syscalls": [
    {
      "names": ["read", "write", "open", "close", "stat", "fstat",
                "mmap", "mprotect", "munmap", "brk", "exit_group",
                "futex", "nanosleep"],
      "action": "SCMP_ACT_ALLOW"
    }
  ]
}

# Menggunakan seccomp profile
docker run --security-opt seccomp=my-seccomp-profile.json myapp:latest

# Menggunakan AppArmor profile
docker run --security-opt apparmor=my-custom-profile myapp:latest

# Memverifikasi AppArmor profile yang aktif
docker inspect --format '{{.AppArmorProfile}}' container_name

8. Rootless Mode untuk Dampak Minimal

Rootless mode menjalankan daemon dan semua container di bawah akun user reguler, bukan root. Jika penyerang berhasil melakukan container escape, mereka hanya mendapatkan akses sebagai user unprivileged di host — bukan root. Dari semua langkah hardening, pendekatan ini memiliki dampak terbesar terhadap keamanan karena secara fundamental mengubah privilege model runtime.

Rootless mode memiliki beberapa keterbatasan seperti tidak dapat menggunakan ports di bawah 1024 dan beberapa fitur jaringan tertentu. Namun, manfaat keamanannya jauh lebih besar daripada keterbatasan tersebut untuk sebagian besar use case di produksi. Pelajari lebih lanjut tentang otomasi tools DevOps yang dapat mendukung migrasi ke rootless mode.

# Instalasi dependencies untuk rootless mode
sudo apt-get install -y uidmap docker-ce-rootless-extras

# Verifikasi subordinate UIDs/GIDs
grep "^$(whoami):" /etc/subuid
grep "^$(whoami):" /etc/subgid

# Stop daemon root-based
sudo systemctl disable --now docker.service docker.socket

# Jalankan rootless setup
dockerd-rootless-setuptool.sh install

# Atur environment variables
export PATH=/usr/bin:$PATH
export DOCKER_HOST=unix:///run/user/$(id -u)/docker.sock

# Enable linger agar aktif saat boot
sudo loginctl enable-linger $(whoami)

# Verifikasi rootless mode
docker info --format '{{.SecurityOptions}}'
# Output harus termasuk "rootless"

9. Segregasi Jaringan dan Pengelolaan Rahasia

Inter-Container Connectivity (ICC) diaktifkan secara default, memungkinkan semua container berkomunikasi satu sama lain melalui docker0 bridged network. Daripada menonaktifkan komunikasi antar container sepenuhnya, buatlah network khusus dan tentukan container mana yang terhubung ke dalamnya. Di Kubernetes, gunakan Network Policies untuk mendefinisikan aturan yang mengontrol interaksi pod di cluster.

Jangan pernah menyimpan secrets seperti passwords, API keys, atau certificates di dalam images atau source code. Gunakan Docker secrets untuk Swarm deployments atau integrasikan bersama external secret management platforms seperti HashiCorp Vault, AWS Secrets Manager, atau GCP Secret Manager. Aktifkan juga Docker Content Trust (export DOCKER_CONTENT_TRUST=1) untuk memastikan integritas images yang di-pull hanya dari publisher yang tepercaya.

# Membuat network khusus untuk isolasi
docker network create --driver bridge --internal isolated-net

# Menjalankan container di network terisolasi
docker run --network isolated-net --name webapp myapp:latest

# Docker Compose dengan network segmentation
services:
  frontend:
    image: nginx:alpine
    networks:
      - frontend-net
  backend:
    image: myapp:latest
    networks:
      - frontend-net
      - backend-net
  database:
    image: postgres:15-alpine
    networks:
      - backend-net

networks:
  frontend-net:
    driver: bridge
  backend-net:
    driver: bridge
    internal: true  # Tidak ada akses internet

# Menggunakan Docker secrets
services:
  webapp:
    image: myapp:latest
    secrets:
      - db_password
    environment:
      - DB_PASSWORD_FILE=/run/secrets/db_password

secrets:
  db_password:
    file: ./db_password.txt

10. Read-Only Filesystem, Resource Limits, dan Monitoring

Mount filesystem container sebagai read-only untuk mencegah modifikasi file system oleh attacker. Kombinasikan bersama tmpfs mounts untuk direktori yang memang perlu ditulis secara temporary. Tetapkan resource limits menggunakan --memory, --cpus, dan --pids-limit untuk mencegah container menghabiskan seluruh resources host yang dapat menyebabkan denial of service terhadap container lain.

Implementasi logging dan monitoring yang comprehensif untuk mendeteksi dan merespons ancaman secara real-time. Aktifkan logging driver, konfigurasi auditd di host untuk memantau syscall, dan gunakan runtime security tools seperti Falco atau Sysdig untuk anomaly detection. Integrasikan bersama SIEM systems seperti Splunk atau ELK stack untuk analisis log yang lebih mendalam. Pantau daemon logs secara rutin untuk mendeteksi aktivitas mencurigakan seperti unauthorized image pulls atau privilege escalation attempts.

# Jalankan dengan read-only filesystem
docker run --read-only --tmpfs /tmp --tmpfs /var/run myapp:latest

# Resource limits untuk mencegah DoS
docker run \
  --memory="256m" \
  --cpus="0.5" \
  --pids-limit=100 \
  --read-only \
  myapp:latest

# Konfigurasi logging
# /etc/docker/daemon.json
{
  "log-driver": "json-file",
  "log-opts": {
    "max-size": "10m",
    "max-file": "3",
    "labels": "service",
    "env": "os,app"
  }
}

# Audit rules untuk Docker
auditctl -w /usr/bin/docker -p rwxa -k docker
auditctl -w /var/lib/docker -p rwxa -k docker
auditctl -w /etc/docker -p rwxa -k docker

Checklist Keamanan Container

Pertanyaan Umum

1. Apa perbedaan rootless mode dan menjalankan container sebagai non-root?

Menjalankan container sebagai non-root hanya memastikan proses di dalam container berjalan dengan user unprivileged. Namun, Docker daemon tetap berjalan sebagai root di host. Rootless mode berbeda karena menjalankan daemon itu sendiri sebagai user reguler. Jika terjadi container escape, penyerang hanya mendapatkan akses user biasa di host, bukan root. Kombinasi keduanya memberikan pertahanan paling kuat.

2. Tools apa yang direkomendasikan untuk vulnerability scanning images?

Trivy menjadi pilihan populer karena open-source, mendukung berbagai vulnerability databases, dan terintegrasi mudah bersama CI/CD pipelines. Snyk menawarkan analisis yang lebih mendalam bersama remediation advice. Grype dari Anchore cocok untuk integrasi bersama Syft untuk SBOM generation. Docker Scout menjadi pilihan natif bagi pengguna Docker Desktop. Kombinasikan minimal dua tools untuk cakupan yang lebih luas.

3. Bagaimana cara mengetahui apakah container sudah aman?

Jalankan vulnerability scanner terhadap image untuk memeriksa known CVEs. Verifikasi bahwa container berjalan sebagai non-root, menggunakan base image minimal, dan tidak memiliki capabilities berlebih. Periksa apakah filesystem di-mount sebagai read-only, resource limits sudah ditetapkan, serta logging dan monitoring sudah aktif. Gunakan tools seperti Docker Bench Security yang mengautomasi audit terhadap CIS Docker Benchmark.

4. Apakah Docker Content Trust wajib diaktifkan untuk semua deployment?

Docker Content Trust memastikan hanya images yang ditandatangani oleh publisher tepercaya yang di-pull. Untuk production environments, mengaktifkan fitur ini sangat disarankan karena mencegah supply chain attacks. Namun, DCT memiliki keterbatasan seperti tidak mendukung semua registries dan menambah latensi pada pull operations. Evaluasi berdasarkan tingkat keamanan yang dibutuhkan oleh aplikasi Anda.

Sumber Referensi

• Docker Security — OWASP Cheat Sheet Series
• Docker Security Best Practices: Essential Tips — John Pratt
• Docker Security Hardening: Rootless, Seccomp, AppArmor — Virtua Cloud
• 21 Docker Security Best Practices: Daemon, Image, Containers — Spacelift
• Docker Security — Seccomp, AppArmor, Capabilities & Rootless — SystemInternals